CVE-2026-92826
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka EWWW Image Optimizer dla WordPressa jest podatna na Reflected Cross-Site Scripting przez klucz parametru REQUEST_URI w wersjach do 8.7.7 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Niezautentykowani atakujący mogą wstrzykiwać skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Wymaga to aktywnej opcji enable_help.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki EWWW Image Optimizer do wersji nowszej niż 8.7.7 oraz rozważenie wyłączenia opcji enable_help, jeśli nie jest konieczna.
Inne podatności w EWWW Image Optimizer
Zobacz wszystkie- CVE-2026-97067Średnie
Podatność Cross Site Scripting (XSS) w wtyczce EWWW Image Optimizer do wersji 8.7.7 włącznie. Użytkownik z rolą kontrybutora może wstrzykiwać złośliwe skrypty.
- CVE-2026-91051Średnie
Wtyczka EWWW Image Optimizer dla WordPressa przed wersją 8.8.0 nie zapobiega przechowywaniu przez uwierzytelnionych użytkowników z uprawnieniami autora serializowanej wartości w polu meta wpisu, która jest deserializowana podczas renderowania wpisu. Umożliwia to przeprowadzenie ataku PHP Object Injection, co może prowadzić do zdalnego wykonania kodu, gdy dostępny jest odpowiedni łańcuch gadżetów.
- CVE-2026-91011Średnie
Wtyczka EWWW Image Optimizer w wersji przed 8.7.7 nieprawidłowo escapuje wartości atrybutów obrazów podczas przepisywania wyjścia strony. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami na poziomie autora i wyższym wstrzyknięcie dowolnego kodu JavaScript, który jest przechowywany w opublikowanej treści i wykonuje się w przeglądarce każdego użytkownika później wyświetlającego zaatakowaną stronę.
- CVE-2026-84773Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce EWWW Image Optimizer w wersjach do 8.7.6. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-15446Średnie
Wtyczka EWWW Image Optimizer dla WordPressa do wersji 8.7.3 włącznie jest podatna na przechowywane Cross-Site Scripting (XSS) poprzez atrybut 'data-script' w treści posta. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The EWWW Image Optimizer plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via REQUEST_URI Parameter Key in all versions up to, and including, 8.7.7 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Successful exploitation requires that the enable_help option is active, as the vulnerable HelpScout Beacon script block is only emitted when that setting is enabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS